Datenschutzerklärung
Stand: Oktober 2026. Der Schutz Ihrer Daten und der Daten Ihrer Mitarbeiter:innen ist Grundlage unseres Produkts. Hier erfahren Sie, welche Daten wir verarbeiten, wozu und welche Rechte Sie haben.
1. Verantwortlicher
Ziya Özcifci – ZC Compliance · E-Mail: office@zccompliance.com. Für Datenschutzanfragen erreichen Sie uns unter derselben Adresse.
2. Zwei Rollen: Website und Software
- Website, Kontaktanfragen, Kundenkonten und Abrechnung: Hier sind wir Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO.
- Inhalte in den Workspaces unserer Kunden (z. B. Nachweise und Qualifikationen von Mitarbeiter:innen): Verantwortlicher ist das jeweilige Kundenunternehmen. Wir verarbeiten diese Daten ausschließlich in dessen Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Betroffene wenden sich mit Anliegen bitte zuerst an ihren Arbeitgeber.
3. Besuch der Website
Beim Aufruf der Website werden technisch notwendige Daten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserinformationen), um die Seite auszuliefern und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Für den Missbrauchsschutz (z. B. Begrenzung von Anmeldeversuchen) werden IP-Adressen nur kurzzeitig gespeichert. Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein.
4. Kontakt- und Demo-Anfragen
Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Name, Firma, geschäftliche E-Mail-Adresse, Telefonnummer, Unternehmensgröße, Ihre Angaben zur Herausforderung und Ihre Nachricht. Zweck ist die Bearbeitung Ihrer Anfrage einschließlich eines Rückrufs zur Terminvereinbarung (Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen – sowie Ihre Einwilligung zum Rückruf nach lit. a). Die Einwilligung können Sie jederzeit per E-Mail widerrufen. Entsteht keine Geschäftsbeziehung, löschen wir die Daten 12 Monate nach dem letzten Kontakt.
5. Kundenkonto und Nutzung der Software
Für die Nutzung verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als sicherer Hash), Rolle im Workspace, Anmelde- und Sitzungsdaten (inkl. IP-Adresse und Browserkennung zur Absicherung des Kontos) sowie optional Daten zur Zwei-Faktor-Anmeldung (Art. 6 Abs. 1 lit. b und f DSGVO). Sicherheitsrelevante Vorgänge werden in einem Audit-Protokoll festgehalten.
6. Upload-Links für Mitarbeiter:innen
Kunden können Mitarbeiter:innen einen persönlichen Link senden, über den diese Nachweise ohne eigenes Konto hochladen. Die Dateien werden ausschließlich dem jeweiligen Kunden zur Prüfung bereitgestellt. Bitte laden Sie keine Gesundheitsdaten oder Ausweiskopien hoch.
7. E-Mails der Anwendung
Wir versenden System-E-Mails, die für die Nutzung erforderlich sind (Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Einladungen) sowie – je nach Einstellung des Kunden – Erinnerungen an ablaufende Nachweise und das wöchentliche Montags-Briefing. Diese E-Mails enthalten keine Zählpixel.
8. Cookies
Wir verwenden ausschließlich technisch notwendige Cookies: für die Anmeldung, die Sicherheit, die Auswahl des Workspaces und die Entsperrung passwortgeschützter Freigabelinks. Für diese Cookies ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021). Analyse- oder Werbe-Cookies setzen wir nicht ein.
9. Auftragsverarbeiter und Empfänger
Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge bestehen. Anwendungsdaten werden in Rechenzentren in der EU gespeichert.
| Dienstleister | Zweck | Speicherort | Grundlage bei US-Bezug |
|---|---|---|---|
| Vercel Inc. | Hosting der Website und der Anwendung | Ausführung in Frankfurt am Main (EU); Auslieferung statischer Inhalte über ein weltweites Netzwerk | Zertifiziert nach dem EU-US Data Privacy Framework; zusätzlich Standardvertragsklauseln |
| Neon (Databricks, Inc.) | Datenbank der Anwendung | Rechenzentrum Frankfurt am Main (EU) | EU-US Data Privacy Framework bzw. Standardvertragsklauseln |
| Cloudflare, Inc. | Domain, DNS, E-Mail-Weiterleitung, verschlüsselter Dateispeicher (R2) | Dateispeicher mit EU-Datenhaltung | Zertifiziert nach dem EU-US Data Privacy Framework; Standardvertragsklauseln |
| Brevo (Paris, Frankreich) | Versand von System-E-Mails (z. B. Bestätigungen, Erinnerungen) | EU (Frankreich) | Keine Drittlandübermittlung vorgesehen |
Wir verwenden keine Dienste mit künstlicher Intelligenz. Dokumentinhalte werden ausschließlich auf unseren Systemen regelbasiert ausgewertet und an keine externen Erkennungsdienste übermittelt.
10. Übermittlung in Drittländer
Einige Dienstleister haben ihren Sitz in den USA. Eine Übermittlung erfolgt nur auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. von EU-Standardvertragsklauseln (Art. 46 DSGVO).
11. Speicherdauer
- Kontaktanfragen ohne Geschäftsbeziehung: 12 Monate nach dem letzten Kontakt.
- Kundenkonten und Workspace-Daten: für die Dauer des Vertrags; nach Vertragsende 30 Tage zum Export verfügbar, danach Löschung. Datensicherungen werden im Rahmen ihres Rotationszyklus überschrieben.
- Rechnungs- und Buchhaltungsdaten: entsprechend der gesetzlichen Aufbewahrungspflicht (7 Jahre, § 132 BAO).
12. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Wenden Sie sich dazu an office@zccompliance.com. Sie können sich außerdem bei der Österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, www.dsb.gv.at) beschweren.
13. Sicherheit
Wir schützen Daten unter anderem durch strikte Trennung der Kunden-Workspaces, verschlüsselte Übertragung, private Dateiablage ohne öffentliche Links, Rollen und Zwei-Faktor-Anmeldung sowie ein unveränderliches Audit-Protokoll. Details finden Sie auf der Seite Sicherheit.